Le dossier d'un patient (antécédents, diagnostics, ordonnances, résultats d'analyses) fait partie des informations les plus intimes qui soient. Au Maroc, sa gestion n'est pas seulement une question de déontologie : elle est encadrée par la loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, dont la CNDP contrôle l'application.
Concrètement, dès qu'un cabinet tient un fichier de patients, sur papier structuré comme sur logiciel, il devient responsable du traitement au sens de la loi, avec des obligations précises. Voici l'essentiel, sans jargon.
Loi 09-08 et CNDP : de quoi parle-t-on ?
La loi 09-08 a été promulguée par le dahir n° 1-09-15 du 18 février 2009. Elle fixe les règles de collecte, de conservation, d'utilisation et de transfert des données personnelles sur le territoire marocain.
Pour veiller à son respect, la loi institue la Commission Nationale de contrôle de la protection des Données à caractère Personnel (CNDP) (article 27). La Commission instruit les formalités, informe le public, dispose de pouvoirs d'investigation et d'enquête (article 30) et peut saisir le procureur du Roi (article 28).
Les données de santé sont des « données sensibles »
C'est le point de départ de tout. La loi range explicitement les données relatives à la santé, y compris les données génétiques, parmi les données sensibles (article 1, 3°), au même titre que les convictions religieuses ou l'appartenance syndicale.
Cette qualification n'est pas symbolique : elle déclenche un régime de protection renforcé, plus exigeant que pour une simple liste de contacts.
Déclaration ou autorisation préalable ?
La loi distingue deux formalités (article 12) :
- La déclaration préalable, régime de droit commun pour la plupart des traitements. Elle donne lieu à un récépissé délivré sous 24 heures (article 19), après quoi le traitement peut démarrer.
- L'autorisation préalable, régime renforcé qui s'applique notamment aux données sensibles, donc aux données de santé (article 12, 1°, a).
Vos obligations concrètes de praticien
Au-delà de la formalité, la loi impose une série d'obligations tout au long de la vie de la donnée.
1. Informer le patient
Avant de collecter ses données, vous devez informer la personne concernée, de manière claire, de l'identité du responsable du traitement, des finalités, des destinataires éventuels et de ses droits (article 5).
2. Recueillir un consentement valable
Le traitement suppose le consentement de la personne (article 4). Ce consentement doit être « libre, spécifique et informé » (article 1, 9°) : le patient doit comprendre quelles données sont collectées, pourquoi et pour combien de temps.
3. Ne garder que le nécessaire, pas plus longtemps que nécessaire
Les données doivent être collectées pour des finalités déterminées et légitimes, être adéquates, pertinentes et non excessives, rester exactes et à jour, et ne pas être conservées au-delà de la durée nécessaire (article 3).
4. Sécuriser et garder confidentiel
Le responsable du traitement doit mettre en place des mesures de sécurité et de confidentialité appropriées (articles 23 et 24) : contrôle d'accès, protection contre la perte ou l'altération des données, traçabilité. Le secret professionnel s'impose par ailleurs à toute personne qui accède aux données, même après la cessation des fonctions (article 26) : un prolongement naturel du secret médical.
5. Respecter les droits des patients
La loi reconnaît à chaque personne concernée un droit d'accès à ses données (article 7), un droit de rectification à opérer dans un délai franc de dix jours (article 8), et un droit d'opposition pour motifs légitimes (article 9).
Héberger les données hors du Maroc ? Attention au transfert
Un point souvent négligé au moment de choisir un logiciel ou un hébergeur : le transfert de données vers un État étranger est strictement encadré (article 43). Il suppose que le pays de destination assure un niveau de protection adéquat (la CNDP tient la liste de ces pays) ou, à défaut, une autorisation de la Commission ou le consentement explicite du patient.
Autrement dit, la question « où sont physiquement stockées les données de mes patients ? » fait pleinement partie de votre conformité.
Que risque un cabinet non conforme ?
La CNDP peut mener des enquêtes, ordonner le verrouillage ou l'effacement de données et saisir la justice. La loi 09-08 prévoit des sanctions pénales (amendes et peines d'emprisonnement) pour les manquements les plus graves, notamment le traitement de données sensibles sans autorisation. Au-delà de la sanction, une fuite de données de santé peut durablement entamer la confiance de la patientèle.
Par où commencer : une check-list simple
- Recensez vos traitements : quels fichiers patients tenez-vous, sur quels supports ?
- Accomplissez la formalité CNDP adaptée (déclaration ou autorisation), via cndp.ma.
- Rédigez une mention d'information à l'attention de vos patients.
- Sécurisez l'accès aux dossiers : comptes nominatifs, mots de passe robustes, sauvegardes, chiffrement.
- Vérifiez l'hébergement de votre logiciel : où sont stockées les données, et le transfert éventuel est-il encadré ?
Choisir un partenaire de confiance pour ses données, c'est aussi choisir un partenaire stable dans la durée. C'est notre engagement : le prix auquel un cabinet s'abonne reste le sien au fil des renouvellements, sans hausse surprise, au service d'un Maroc de la santé numérique, prospère et accessible à tous.
Cet article est fourni à titre d'information générale et ne constitue pas un conseil juridique. Pour votre situation précise, référez-vous au texte de la loi 09-08 et aux ressources officielles de la CNDP.